אצבע קלה על המקלדת

פורסם בתאריך : 05.01.2010 // משפטים // תגובה אחת»

בעולם המודרני של היום, ראוי שהמשפט "אצבע קלה על ההדק" יומר ב-"אצבע קלה על המקש" (אף היה מי שבממר"ם הגדיר את החיילים כ"לוחמים עם מקלדת בין השיניים"). גורל שבעבר היה נחרץ כאשר האוחז בנשק היה ממעיט בערך שיקול הדעת ולוחץ בקלות יתרה על הדק אקדחו – היום נחרץ כאשר האוחז במקלדת ממעיט בערך שיקול הדעת ולוחץ על מקש ה"שליחה". זה קורה לכולנו בהרבה ובמגוון תחומים וירטואליים. זה קורה כשאנו שולחים דוא"ל מבלי לבדוק שגיאות כתיב או את רשימת המענים; זה קורה כשאנו ממהרים לשלוח הודעת SMS מבלי לקרוא פעם נוספת את התוכן; זה קורה כשאנו מאשרים פעולה בנקאית מבלי שבאמת העמקנו בהשלכותיה.

בעבר, היו מספר איזונים ובקרות שהציבו לנו חסם בלתי תלוי כאשר פעלנו בפזיזות. למשל, בעת שליחת מכתב בדואר רגיל, היינו מוגבלים ע"י פרמטרים שלא בשליטתנו (הכנסת המכתב למעטפה, ביול המעטפה, מועד פתיחת הסניף, זמן ההגעה אל הסניף וכו'). כיום, כל שנדרש הוא חיבור לאינטרנט (אשר אצל רובנו כבר אפילו הפך פעיל ללא צורך בחייגן) ותוכנת דוא"ל (אשר אצל רובנו כבר פעילה משימוש קודם). מנגנוני הבקרה שבעבר היו מאזנים דחפים ופזיזות כיום כבר לא באמת קיימים.

מסתבר, שצמצום הפער הנ"ל (צמצום שרבים רואים בו חיובי – למשל כמגביר יעילות) יכול לגבות מחיר כבד מאוד מאנשים תמימים. הנה סיפור אודות בנק אמריקאי שבמדינת וויומינג, אשר הביא למצב בלתי נסבל בו חשבון דוא"ל פרטי של משתמש, הופך "מושבת" בהוראת צו בית משפט וזאת מכיוון שאצבעו של אחד מפקידי הבנק, הייתה קלה על מקש ה-Enter. מדובר בבנק Rocky Mountain Bank שבמסגרת שירותיו המגוונים נתבקש ע"י אחד מלקוחותיו להעביר אליו בדוא"ל (שבספק Gmail) מסמכים הקשורים להלוואה כלשהי. פקיד הבנק שטיפל בנושא שלח את המידע הרגיש והחסוי לכתובת Gmail אחרת מזו שנתבקש (יחד עם מידע נוסף שכלל לא היה אמור להישלח).

המידע שהועבר לכתובת הדוא"ל הכיל פרטים רגישים אודות 1,325 לקוחות של הבנק אשר בין היתר כללו תעודת זהות, פרטים מזהים, פרטי מס ומידע אודות הלוואות. בשלב זה, ניסה פקיד הבנק ליצור קשר עם בעל חשבון הדוא"ל ע"י שליחת הודעות נוספת בהם הוא מתבקש ליצור קשר עם הבנק – הודעות אשר לא קיבלו מענה. כשהבנק ביקש מגוגל לחשוף את פרטי בעל חשבון הדוא"ל – אלו סירבו (ובצדק). בהחלטה שנתן בית משפט פדראלי לפני מספר חודשים, הוחלט על השבתת חשבון הדוא"ל של המשתמש. עוד קבע ביהמ"ש כי על גוגל לפרסם את פרטיו המזהים של בעל החשבון.

רשלנות פושעת של פקיד בנק, בהיותו פזיז וחסר אחריות, גרמה לנזק חסר תקדים בכל מה שקשור לבנקאות אלקטרונית. ראשית חטא הבנק בפני קהל לקוחותיו, אשר פרטיהם האישיים נחשפו בעודם מחויבים בחובת סודיות. בהמשך חטא הבנק בפני הלקוח הספציפי אשר ביקש מידע אודות הלוואותיו שלו בלבד – לא רק שלא קיבל את המידע שביקש, המידע נחשף בפני גורם לא ידוע. בנוסף, כנראה וחטא ביהמ"ש כאשר נוכח הרשלנות הנפשעת של הבנק, התיר לסגור את חשבון הדוא"ל של משתמש תמים וזאת משום שבנק (להזכיר, גורם כלכלי בעל אינטרסים כלכליים) טעה ועירב משתמש זה כצד ג' תמים בכל הסיפור.

בתוך כך, פעם נוספת אנו עדים לחוסר הבהירות באשר לגבולות הסמכות שברשת הקיברנטית. מחד, פרטיהם האישיים והרגישים של לקוחות יכולים להיחשף בהינף אצבע ובהיסח דעת, ומאידך, מאדם תמים אשר לא חטא בפני איש נשללת החירות (יש לומר – החוקתית) מכיוון שגוף עסקי שגה בהתנהלותו. בשלב זה כבר לא ברור של מי האצבע הקלה יותר על ההדק – פקיד בנק חסר אחריות או בית משפט שלא הבין את המשמעות של זכויות אזרח גם ברשת האינטרנט. אין ספק שהגנה על 1,325 לקוחות בנק נראית חיונית – אבל האם זה מחיר החירות הקיברנטית?

בשורה התחתונה – על כל גורם האחראי על מידע רגיש ופרטי יש לנקוט בכל אמצעי הזהירות הנדרשים ע"מ להגן על לקוחותיו. בנוסף, גם אם בית משפט פדראלי פסק אחרת – ברור למדי כי לגורם עסקי שכזה יש גם חובת זהירות כנגד צד ג' תם לב שכל חטאו היה להחזיק בתיבת דוא"ל. בהתאם לשינויים הטכנולוגיים (בעזרתם עבודת פקיד הבנק נעשית יעילה יותר ונוחה יותר) יש לבחון בשבע עיניים כל שינוי או פעולה שהשלכותיהן נוגעות לצדדים שונים (הבנק, לקוחותיו וצדדי ג'). כדאי לחשוב טוב בטרם נכנעים לדחפים פזיזים, והכוונה לא רק לבעלים סוררים שבטעות מיענו מיסרון "אישתי לא יודעת עליך" לבת זוגתם לנישואין ולא למאהבת.

נדב נחמיאס הוא יועץ אבטחת מידע בתחום תקשורת המחשבים וסטודנט למשפטים ומדעי המחשב

המאגר הביומטרי – האשלייה הטכנולוגית

פורסם בתאריך : 25.12.2009 // אבטחת מידע // 3 תגובות »

"They who would give up an essential liberty for temporary security, deserve neither liberty or security" (Benjamin Franklin)

גם מי שאינו מעורב בעשייה הציבורית של היום יום בטוח כבר שמע על "המאגר הביומטרי". זה מספר חודשים שמתנגדים רבים מנסים בכל כוחם לבלום את העברת הצעת חוק המאגר הביומטרי בכנסת, בעיקר בעזרת הטענה של פגיעה בכבוד האדם, בחירותו ובפרטיותו. חיפוש מהיר במנועי החיפוש יציף את כל החפץ בכך בטענות בעד אבל בעיקר נגד הקמת מאגר שכזה. בעוד שקיימים טיעונים משכנעים למדי המבהירים מדוע "מהותית" מאגר שכזה מסוכן לדמוקרטיה הישראלית, נראה שחשוב לא פחות גם לעמוד על סיבות "טכניות" בגינם המאגר מהווה סיכון.

אין זה המאגר הראשון

משרד הפנים מחזיק נתונים רבים ומגוונים אודות אזרחי ישראל. לצערנו, חלקים נרחבים מנתונים אלו (שנחשבים פרטיים יש לומר) נגישים כיום לכל החפץ בכך וללא כל קושי. חיפוש קל אחרי תוכנת ה"רשומון" יראה בדיוק בדיוק עד כמה העניין פשוט.

תוכנת הרשומון היא תוכנה שמפיץ משרד הפנים לפני כל בחירות לכל המפלגות. בגרסאותיה האחרונות (כנראה 2006) הכילה התוכנה מיליוני שמות של אזרחים ישראלים יחד עם נתונים כגון תעודת זהות, כתובת, תאריך לידה וכו'. מכיוון שתוכנה זו הופצה ע"ג תקליטורים, קל למדי להעתיק אותה ולהפיץ אותה ברשת האינטרנט.

נראה שמטעויות לא באמת לומדים

אם אנשים אינם מתרגשים מהפצה נרחבת של הפרטים המנויים בתוכנת הרשומון, אז ייתכן כי דווקא התוכנה הבאה תציג נתונים מטרידים.

חדי ההבחנה ישימו לב כי בתחתית המסך רשום: "9220583 רשומות". זה דבר ידוע שבישראל כ6.5 מיליון אזרחים. הדלתא הזו היא בעצם נתונים אודות אנשים שקיבלו תעודת זהות ישראלית ונפטרו. יתרה מכך, בתוכנה זו ניתן להצליב מידע, לראות קרובי משפחה (הורים, אחים, ילדים, בני זוג) ונתונים נוספים כגון: תאריך עליה, ארץ עליה, שם קודם אם שונה ומספר טלפון מעודכן לתאריך ההפצה.

שירותי "ממשל זמין" – זמינות בלתי מוגבלת לכל דכפין

במידה וזה עדיין לא מספיק, הנה סיפור שפורסם לפני מספר ימים בכתבה שכנראה ולא קיבלה מספיק תשומת לב. כחלק משירותי הממשל הזמין, משרד התחבורה מאפשר למי שרישיונו פג תוקף לחדשו באתר המשרד. כל מה שצריך זה תעודת זהות ושנת לידה. של כל אחד.

השירות החדש לאזרח מאפשר לכל מי שמחזיק בתעודת זהות של אדם ושנת הלידה שלו, להוציא את מספר רישיון הנהיגה שלו ואת תוקפו. כפי שכתוב למעלה, זה לא באמת מסובך כל כך להשיג את תעודת זהותו של אדם.

הנ"ל מצטרף לרשימה ארוכה של נתונים של אזרחים השמורים ע"י רשויות המדינה והם בעצם נגישים לכולם. היש מישהו שעוד טרם גילה את נתוני הקב"א והדפ"ר הצה"ליים שלו (ואם נקפוץ צעד אחד קדימה – של חבריו)? חרף זאת, המאגרים הצה"ליים כנראה שאינם נגישים לרשת האינטרנט (בתקווה) ולעניות דעתי גם אינם מופצים על "תקליטור", ופרטיותנו הצה"לית תלויה ברובה ביכולתם של בעלי גישה לשמור סוד.

מגדל בבל

אחרי כל זה, משרד הפנים מתעקש על הקמת מאגר ביומטרי, המכיל את תווי הפנים וטביעות האצבעות של מכלול אזרחי ישראל. נתונים אלו לא ישמשו לניהול כ"א צה"לי או לשמירה על קשר עם המפלגות – נתונים אלו ישמשו את גורמי אכיפת החוק בישראל. אם נתקשה לדמיין עד כמה מרחיקת לכת הטענה האחרונה, ביקור חפוז באתר ההתנגדות להצעת החוק יקל עלינו בבניית תרחישים לא כל כך נעימים. מה יקרה למשל אם נתונים מהמאגר ידלפו החוצה? או חלילה מכך – יוכנסו מזויפים פנימה?

הגנה טכנולוגית היא אחת התשובות של מציעי החוק. כמה פעמים שמענו מאבא את הקלישאה "המחשב שלך היום חזק פי עשרות מהמחשב ששיגר את אפולו 11 לירח!" בעודנו מבקשים שישדרג לנו את המחשב ליום ההולדת? (כמה מאיתנו תיקנו את אבא ואמרו לו שזה אפולו 13?) אז עם כל הצער שבדבר, אבא צודק. לא רק שהטכנולוגיה היא דינאמית, כיום די ברור מאליו שההתפתחות של הטכנולוגיה על ציר של זמן איננה נעה כקו ישר כי אם עקומה שכבר בשלב זה מזנקת בצורה מסחררת כלפי מעלה. האם מישהו במשרד הפנים באמת מאמין שהטכנולוגיה שתשמש לשמירה על המאגר תהיה אפקטיבית לטווח הארוך? (ובעולם שלנו היום נראה שטווח ארוך נמדד בשנים בודדות)

וקריסתו

תוכנת הרשומון הופצה על גבי תקליטורים. בקלות היא הועתקה והופצה דרך רשתות שיתוף הקבצים השונות. בעוד שאתרי שיתוף (כמו Rapidshare) יכולים (וכנראה שאף צריכים משפטית) להיענות לבקשות משרד הפנים להסיר את קבצי התוכנה, תוכנות שיתוף (כגון eMule) גם אם היו נדרשות – אינן יכולות להסיר את התוכנה. התוכנה השנייה שצוינה לעיל גם כן הופצה על גבי תקליטור, אולם אנשי הפיתוח שילבו בה הגנה מבוססת סיסמא. סיסמא זו הוטבעה בתוכנה עצמה וכנראה שאף באופן רשלני (מי שלא מבין מה רשלני בזה, ראוי שיבקר באתרים כגון Astalavista.box.sk). השירותים של משרד התחבורה אולי נראים חיוניים לאזרחים תמימים שרוצים להימנע מתורים ארוכים, אך לצערנו תמימות היא נכס יקר מפז במחוזותינו.

הטענה בדבר "הגנה טכנולוגית" היא לא יותר מאשר תירוץ זול להשקיט את אלו שאינם מבינים את הקשר המעורפל בין משפט וטכנולוגיה. אם טענות נגד מהותית לא הצליחו לשכנע אנשים בגנות המאגר הביומטרי – אולי הבנה של פוטנציאל התממשות תוצאות זדוניות דווקא כן תצליח. בסופו של דבר, נראה שלא כדאי להישאר אדישים בעניין המאגר. בטח לא כשהפרטיות והחירות שלכם נכבלות בשלשלאות הטכנולוגיה הזמנית. על העונש שבאדישות כלפי איום על החירות שלנו אמר יפה אלי ויזל:

"It may well be that our means are fairly limited and our possibilities restricted when it comes to applying pressure on our government. But is this a reason to do nothing? Despair is nor an answer. Neither is resignation. Resignation only leads to indifference, which is not merely a sin but a punishment"

נדב נחמיאס הוא יועץ אבטחת מידע בתחום תקשורת המחשבים וסטודנט למשפטים ומדעי המחשב

איך פייסבוק שינה את תחום אבטחת המידע

פורסם בתאריך : 17.11.2009 // אבטחת מידע // 3 תגובות »

שיטת המקל והגזר עובדת, זו עובדה שקשה מאוד לערער עליה. במשך שנים רבות תפסה גישת המקל חלק נרחב ממנגנון הכוונת ההתנהגות של כולנו בהקשרים חינוכיים (חוסך שבטו שונא בנו) בהקשרים מדינתיים (עונשים, קנסות וכיוב') ובכלל. בשנים האחרונות משתנה המגמה ונראה כי אנו בעיצומו של תהליך שבו האיזון שבין השימוש במקל לגזר משתנה. בעוד בעבר נתפס המקל כפתרון האפקטיבי מבין השניים כיום נראה שלגזר יש אפקט חזק יותר לטווח הארוך.

אבטחת מידע, האקרים, משפט ואכיפה

מופע מעניין של שינוי המגמה אפשר לזהות בעולם אבטחת המידע. בשנות התשעים ובתחילת שנות האלפיים אחת המשימות העיקריות של משתמשי המחשב הייתה הגנה על המחשב מפני וירוסים, רוגלות והאקרים. באותה תקופה ניסו חברות אבטחת המידע השונות לייצר פתרונות לכל סוגי ההתקפות, רק שהמוצרים שפיתחו לא עמדו בקצב כשהוירוסים והרוגלות התפשטו כאש בשדה קוצים.

לעזרת אותן חברות נחלצו גם מדינות רבות מרחבי העולם שהחלו לחוקק חוקים נגד פשיעה דיגיטלית. לשם מיגור התופעה החלו המדינות בתהליכי חקיקה, שפיטה ואכיפה דתוך הקצאת משאבים משמעותית הן ברמת כח האדם והן ברמה התקציבית. השימוש במשפט ובאכיפה נתפס בתחילה כשיטה האפקטיבית ביותר למיגור הפשיעה הדיגיטלית שכן כמות ההאקרים באותה תקופה לא הייתה גבוהה במיוחד ואיתורו של פושע דיגיטלי בודד הביאה בזמנו לתועלת רבה. עם זאת, ברבות הזמן ועם התקדמות הטכנולוגיה, הסתבר שהאכיפה המשפטית אינה סקלבילית. כלומר, שככל שיותר אנשים יודעים לקודד ולפתח תוכנות (סין הודו וכיוב') ישנם יותר ויותר אנשים שמהווים איום למשתמשי המחשב ולכן צריך היה למצוא פתרונות חדשים שתואמים באופן טוב יותר את המציאות המתהווה.

הסיבה הראשונה למיגור התופעה –  שיפור מוצרי האבטחה

לשמחנו נראה שבשנים האחרונות, עם התפתחות מוצרי האבטחה (אנטי וירוס , אנטי ספאם ופיירוול) אנחנו נחשפים לפחות ופחות איומים. אם הפתרון של אכיפה משפטית אכן אינו סקלבילי (עומס על בתי המשפט ורשויות האכיפה מצד אחד וחוסר הבנה מקצועית מהצד שני) יש לבחון מהם הגורמים לאותו שינוי נדרש. השינוי הזה נגרם לדעתי בגלל שילוב של שני תהליכים עיקריים. התהליך הראשון הוא שכלול מנגנוני האבטחה הקיימים בשוק. חברות אבטחת המידע שיפרו את מוצריהם באלפי מונים ודואגו לעדכן אותם באופן מתמיד כך שגם אם נוצר וירוס זדוני ע"י מתכנת כלשהו ניתן לנתר אותו ולצמצם את התפשטותו במהירות ובקלות. בנוסף, מחיר מוצרי האבטחה ירד במהלך השנים (שוק שהשתכלל) כך שיש כיום לא מעט מוצרי אבטחה מצוינים הניתנים בחינם אשר מגינים על כמויות עצומות של מחשבים בכל העולם.

הסיבה השנייה – שינוי מודל התמריצים ופתיחת פלטפורמות לפיתוח אפליקציות

התהליך השני מתבסס על הורדת המחסומים לפיתוח אפליקציות ושינוי מודל התמריצים. אם בעבר, הכסף הגדול בתחום פיתוח התוכנה נותר ברובו בידי השחקניות הגדולות בשוק, כיום יש מקום למפתחים עצמאיים לפתח אפליקציות שונות ומגוונות שיתאימו לפלטפורמות השונות (פייסבוק, אינטרנט סלולר וכו') כמעט ללא חסמים ומחסומים. כמפתחי אפליקציות יש למתכנתים יד חופשית בבחירת קהלי היעד, אופן השיווק וגיבוש האסטרטגיה כמו גם מודל התמחור והמסחור של האפליקציות. פיתוח האפליקציות הפך ממקור הכנסה כמעט בלתי נגיש בשנות התשעים עם חסמי כניסה גבוהים במיוחד למקור הכנסה כמעט טריוויאלי למפתחים. לדעתי התופעה בה השוק ייצר תמריץ עבור כל אותם האקרים לפתח אפליקציות שמניבות ערך למשתמשים בניגוד לוירוסים המאיימים והסחטניים שפיתחו בעבר היא לא פחות ממרתקת.

לסיכום, מעניין לראות שמגנוני השוק יודעים לפתור במקרים מסויימים סוגיות סבוכות שבעבר לא חשבנו שהן פתירות. מעניין גם כן לראות את ההשפעה של פתיחה של פלטפורמות למפתחים חיצוניים על סוגי השימושים שעושים מפתחים בכלי הפיתוח שלהם.